Le dirigeant devient indisponible demain : qui détient les clés numériques?

Lundi matin, 8 h 10. Le président de l'entreprise ne rentrera pas cette semaine. Un accident, un problème de santé ou une urgence familiale l'oblige à décrocher complètement. Rien de suspect, aucune cyberattaque et aucun départ conflictuel. Seulement une absence soudaine, sans date de retour précise.

L'équipe connaît ses responsabilités et les opérations devraient continuer. Puis les obstacles apparaissent.

Le compte administrateur de Microsoft 365 porte le nom du président. Le renouvellement du domaine exige un code envoyé à son téléphone. Le portail d'un fournisseur utilise son adresse personnelle comme adresse de récupération. Personne ne sait où se trouvent les accès au système de téléphonie. Quant au gestionnaire de mots de passe, il est bien configuré — mais une seule personne peut approuver l'accès d'urgence.

L'entreprise n'est pas paralysée par l'absence de son dirigeant. Elle l'est parce que ses clés numériques ont été confiées à une personne plutôt qu'à une fonction.

Le risque de la personne indispensable

Dans plusieurs PME, la concentration des accès se crée sans mauvaise décision apparente. Au démarrage, le propriétaire ouvre les comptes lui-même. Plus tard, la contrôleuse prend en charge les logiciels financiers, une adjointe gère les fournisseurs et un consultant configure Microsoft 365. Les responsabilités s'ajoutent au fil des besoins, mais personne ne tient de registre complet.

On finit alors avec une personne qui connaît presque tout : où sont les mots de passe, quel fournisseur appeler, comment renouveler un service et quel compte possède les droits administratifs. Cette personne est précieuse. Elle devient aussi un point de défaillance unique.

Le risque ne concerne d'ailleurs pas seulement le propriétaire. Il peut reposer sur :

• le responsable TI qui possède les seuls accès administratifs;
• la contrôleuse dont le téléphone reçoit tous les codes de vérification;
• l'adjointe qui connaît les contrats et les numéros de clients;
• le développeur qui contrôle le domaine et l'hébergement Web;
• le consultant externe qui a créé l'environnement infonuagique.

Une absence temporaire suffit pour révéler cette dépendance. Un départ soudain peut la rendre permanente.

Microsoft décrit d'ailleurs ce scénario noir sur blanc dans sa documentation : la personne détenant le dernier accès d'administrateur général quitte l'organisation, et le compte est supprimé ou désactivé du côté local. L'organisation peut alors se retrouver dans l'incapacité de récupérer son propre environnement.

Quelles sont les clés numériques de l'entreprise?

Il ne s'agit pas de dresser une liste de tous les mots de passe utilisés par les employés. L'objectif est d'identifier les accès capables de maintenir, modifier ou récupérer les services essentiels.

L'inventaire devrait notamment couvrir :

• Microsoft 365 ou l'autre plateforme d'identité de l'entreprise;
• le registraire du nom de domaine et la gestion DNS;
• les sauvegardes et les outils de restauration;
• le pare-feu, le réseau, le Wi-Fi et l'accès à distance;
• la téléphonie et les numéros principaux;
• les applications de comptabilité, de paie, de CRM et de gestion;
• l'hébergement du site Web et les certificats;
• le gestionnaire de mots de passe de l'équipe;
• les portails des fournisseurs et les contrats critiques;
• les comptes de sécurité, de surveillance et de cyberassurance.

Pour chaque service, l'entreprise devrait connaître le propriétaire du compte, les administrateurs autorisés, la méthode de récupération, la dépendance au téléphone ou au courriel d'une personne et la procédure à suivre si cette personne ne répond pas.

Cet exercice révèle souvent des surprises : une adresse Gmail personnelle, une carte de crédit expirée, un ancien fournisseur toujours administrateur ou un code d'authentification qui ne peut arriver que sur un seul appareil.

Le Centre canadien pour la cybersécurité recommande d'ailleurs de créer et de maintenir un inventaire de tous les comptes administratifs, y compris les comptes locaux et de domaine. Il distingue aussi clairement les comptes d'urgence et temporaires des comptes simplement peu utilisés — et précise que ces comptes d'urgence ne devraient pas être soumis à une désactivation ou à une suppression automatique pour cause d'inactivité. C'est un détail qui a l'air anodin jusqu'au jour où une politique de nettoyage désactive silencieusement votre filet de sécurité.

Partager tous les mots de passe n'est pas un plan de relève

Face à ce problème, le premier réflexe peut être de placer tous les identifiants dans un document et de le remettre à plusieurs gestionnaires. Ce serait simple, mais dangereux.

Une relève bien conçue ne donne pas à tout le monde un accès permanent à tout. Elle conserve le principe du moindre privilège : chaque personne utilise normalement son propre compte et reçoit uniquement les droits nécessaires à son travail.

L'accès d'urgence constitue une voie distincte. Il devient disponible lorsqu'une situation définie survient, pour des personnes autorisées, selon une procédure documentée. Son utilisation doit laisser une trace et déclencher une vérification.

Autrement dit, on ne cache pas une clé maîtresse sous le tapis. On la place dans un coffre contrôlé, on précise qui peut l'ouvrir et on vérifie chaque ouverture.

Un gestionnaire de mots de passe pour l'entreprise peut faire partie de la solution, à condition que la récupération et l'accès d'urgence soient eux aussi configurés. Un coffre numérique dont une seule personne détient la récupération reproduit exactement le problème qu'il devait régler.

Le compte « bris de vitre » n'est plus un mot de passe dans une enveloppe

Pour les systèmes les plus critiques, on utilise un compte d'urgence — souvent appelé compte « bris de vitre ». Il ne sert pas au travail quotidien. Il permet de reprendre le contrôle lorsque les comptes administratifs habituels sont indisponibles ou bloqués.

Si votre image mentale est celle d'un mot de passe très long, imprimé et rangé dans une enveloppe scellée, elle est périmée.

Microsoft a resserré ses exigences. La configuration actuelle d'un compte d'accès d'urgence dans Microsoft Entra impose de choisir une méthode d'authentification sans mot de passe : une clé d'accès FIDO2, recommandée, ou l'authentification par certificat si l'organisation dispose déjà d'une infrastructure à clé publique. La raison est explicite : ce sont les seules méthodes qui répondent aux exigences d'authentification multifacteur devenues obligatoires.

Concrètement, le compte de secours n'est plus une ligne de texte. C'est un objet physique à acheter, à inscrire et à ranger quelque part.

Microsoft recommande d'en maintenir au moins deux, pour la redondance. Ils doivent être des comptes infonuagiques uniquement, sur le domaine . onmicrosoft.com , sans fédération ni synchronisation depuis un environnement local — parce qu'un compte de secours qui dépend du système en panne n'est pas un compte de secours.

Autres exigences à connaître :

• Une méthode d'authentification différente de celle des comptes administrateurs ordinaires. Si vos administrateurs utilisent l'application Authenticator, le compte d'urgence devrait utiliser une clé FIDO2. L'idée est d'éviter un mode de défaillance commun.
• Aucun lien avec un utilisateur individuel ni avec un appareil fourni à un employé — donc pas le téléphone du président.
• Des identifiants et des appareils qui n'expirent pas et qui ne risquent pas d'être supprimés par une politique de nettoyage automatique.
• Un rangement dans des coffres sécurisés et résistants au feu, situés dans des emplacements distincts, accessibles aux personnes autorisées. Et un geste que presque personne ne fait : changer les combinaisons de ces coffres quand une personne y ayant accès quitte l'organisation.
• Une alerte à chaque connexion, pour que toute utilisation soit remarquée immédiatement.

Les deux réglages qui neutralisent un compte d'urgence

Voici les pièges les plus vicieux, parce qu'ils sont invisibles jusqu'au jour où ils bloquent tout.

L'accès conditionnel. Microsoft insiste : les comptes d'accès d'urgence doivent être exclus de toute stratégie d'accès conditionnel qui bloque ou restreint la connexion. Si le compte est soumis à une stratégie exigeant l'authentification multifacteur, un appareil conforme ou un autre contrôle, il peut devenir inutilisable pendant l'urgence exacte pour laquelle il a été créé. La méthode recommandée est de créer un groupe de sécurité dédié — Microsoft suggère de le nommer EmergencyAccess — et d'exclure ce groupe des politiques concernées. Les stratégies en mode rapport seulement ne bloquent rien et n'ont pas besoin d'exclusion.

L'attribution du rôle. Dans Privileged Identity Management, le rôle d'administrateur général doit être actif et permanent pour ces comptes, et non « éligible ». Microsoft décrit le scénario catastrophe précis : si toutes les attributions d'administrateur général sont éligibles plutôt qu'actives, que l'activation exige une approbation et qu'aucun approbateur n'est disponible, personne ne peut approuver — et l'administration du locataire est verrouillée.

Ces deux réglages ne se remarquent jamais en fonctionnement normal. Ils se remarquent une seule fois, au pire moment.

Ce que le compte d'urgence ne règle pas

Il faut être clair sur la portée, parce que la confusion crée un faux sentiment de sécurité.

Un compte « bris de vitre » règle la reprise de contrôle de votre plateforme d'identité. C'est important, mais ça ne couvre qu'une partie du problème posé au début de cet article.

Il n'existe pas de compte bris de vitre pour :

• le registraire de votre nom de domaine;
• le portail de votre fournisseur de téléphonie;
• l'accès bancaire et l'autorité de signature;
• le compte du fournisseur de votre logiciel de gestion;
• l'hébergement de votre site Web;
• la police de cyberassurance.

Pour ceux-là, la relève passe par des mesures administratives : plusieurs contacts autorisés inscrits au dossier, une adresse de récupération appartenant à l'entreprise plutôt qu'à un individu, et une procédure d'identification convenue à l'avance avec chaque fournisseur. C'est moins technique et souvent plus long à mettre en place — mais c'est là que se trouvent la moitié des blocages réels.

Construire une trousse de continuité numérique

Une trousse de continuité numérique n'est pas un cartable rempli de mots de passe posé dans une armoire. C'est un ensemble limité d'informations, de procédures et de mécanismes sécurisés permettant aux bonnes personnes de prendre temporairement le relais.

Elle devrait contenir au minimum :

1. L'inventaire des services critiques. Quels systèmes doivent absolument demeurer accessibles pour servir les clients, payer les employés et communiquer?
2. Les propriétaires et les remplaçants. Qui gère normalement chaque service et qui est autorisé à prendre le relais?
3. La procédure d'activation. Quelles circonstances permettent d'utiliser les accès d'urgence et qui peut donner l'autorisation?
4. Les coordonnées des fournisseurs. Numéros de soutien, identifiants de contrats, personnes-ressources et méthode d'escalade.
5. Les mécanismes de récupération. Où se trouvent les clés de sécurité, les codes de récupération et les instructions protégées?
6. Les limites de l'intervention. Quelles actions le remplaçant peut-il effectuer, et lesquelles exigent une deuxième approbation?
7. La fermeture de l'urgence. Comment retirer les accès temporaires, changer les secrets utilisés et réviser les journaux après l'événement?

La trousse doit être utilisable sans la personne absente, mais inaccessible aux personnes non autorisées. Selon la sensibilité des accès, on peut aussi exiger la présence de deux responsables pour activer certains privilèges — une pratique que le Centre canadien pour la cybersécurité appelle l'intégrité à deux personnes.

Un détail auquel presque personne ne pense : l'appareil qui sert à l'authentification d'urgence devrait pouvoir communiquer par au moins deux chemins réseau ne partageant pas un mode de défaillance commun — par exemple le réseau sans fil du bâtiment et un réseau cellulaire. C'est une recommandation explicite de Microsoft, et c'est la même logique que celle d'une véritable connexion de relève : votre plan de secours ne doit pas dépendre de ce qui vient de tomber.

Votre fournisseur TI fait partie du plan — il ne doit pas être le plan

Un partenaire TI peut documenter l'environnement, surveiller les comptes d'urgence et intervenir rapidement. Il ne devrait toutefois pas être le seul à posséder les clés de l'entreprise.

Votre organisation devrait demeurer propriétaire de ses domaines, de ses licences, de ses données et de ses environnements. Elle devrait également savoir quels accès détient son fournisseur, comment les révoquer et comment transférer la gestion à une autre ressource si nécessaire.

Le Centre canadien pour la cybersécurité est explicite là-dessus : même en faisant appel à un fournisseur infonuagique ou à un fournisseur de services gérés, votre organisation demeure responsable et imputable de la sécurité de ses données, et les restrictions que vous appliquez à vos propres comptes administratifs devraient se refléter dans l'entente de service avec votre fournisseur.

À l'inverse, inscrire uniquement le président comme personne autorisée auprès du fournisseur crée aussi un blocage. Au moins un remplaçant légitime devrait pouvoir demander une intervention urgente selon un processus d'identification établi à l'avance.

Cette préparation complète le plan de reprise après sinistre . Restaurer des données ne sert pas à grand-chose si personne ne peut ouvrir la console de sauvegarde ou autoriser le redémarrage des systèmes.

Le seul moyen de savoir : faire un exercice

Un plan non testé reste une hypothèse.

Choisissez un scénario simple : le dirigeant et le responsable TI sont injoignables pendant 48 heures. Sans utiliser leurs téléphones, leurs boîtes courriel ou leur mémoire, l'équipe doit démontrer qu'elle peut :

• joindre les fournisseurs critiques;
• accéder aux coordonnées et aux procédures;
• reprendre l'administration de Microsoft 365;
• vérifier l'état des sauvegardes;
• modifier une configuration urgente;
• communiquer avec les employés et les clients;
• documenter toutes les actions effectuées.

Il n'est pas nécessaire de provoquer une panne réelle. Un exercice guidé permet déjà de repérer les coordonnées périmées, les droits manquants et les méthodes de récupération qui dépendent encore de la mauvaise personne.

Pour les comptes d'urgence techniques, Microsoft donne une cadence précise : une validation au moins tous les 90 jours. Cette validation ne consiste pas seulement à vérifier que le mot de passe fonctionne. Elle comprend la révision de la liste des personnes autorisées, la confirmation que la procédure est documentée et à jour, la vérification que les comptes peuvent réellement se connecter et effectuer des tâches d'administration, et le contrôle que les alertes se déclenchent bien.

Microsoft recommande aussi de refaire cet exercice à deux autres moments : lors d'un changement de personnel informatique — une fin d'emploi, un changement de poste — et lorsque les abonnements de l'organisation changent.

Enfin, chaque utilisation réelle d'un compte d'urgence devrait déclencher une revue après coup, pour déterminer s'il s'agissait d'un exercice planifié, d'une véritable urgence où aucun administrateur ne pouvait utiliser son compte régulier, ou d'un usage incorrect. L'examen des journaux permet ensuite de confirmer que les actions posées correspondaient à l'usage autorisé.

Le plan complet devrait aussi être revu après un départ, un changement de fournisseur, une acquisition ou l'adoption d'un nouveau système important. L'article sur les accès à révoquer lors du départ d'un employé traite l'autre côté de la même question : savoir fermer les accès est essentiel, mais savoir les transmettre correctement l'est tout autant.

Sept questions à poser cette semaine

1. Nos domaines et nos environnements infonuagiques appartiennent-ils officiellement à l'entreprise?
2. Au moins deux personnes peuvent-elles joindre et autoriser nos fournisseurs critiques?
3. Un accès administratif dépend-il du téléphone ou du courriel personnel d'une seule personne?
4. Possédons-nous un inventaire à jour des comptes administratifs?
5. Nos comptes d'urgence sont-ils exclus des politiques qui pourraient les bloquer, et leur rôle est-il actif en permanence?
6. Toute utilisation d'un accès d'urgence génère-t-elle une alerte et une trace?
7. Avons-nous testé le processus au cours des 90 derniers jours?

Si plusieurs réponses sont inconnues, il ne faut pas distribuer davantage de privilèges dans l'urgence. Il faut structurer la relève.

Le mot de la fin

Préparer l'indisponibilité d'un dirigeant n'est ni pessimiste ni impersonnel. C'est protéger l'entreprise, les employés et la personne absente contre une pression inutile au pire moment.

Une organisation bien préparée ne dépend pas d'un héros qui connaît tous les mots de passe. Elle possède des responsabilités claires, des accès individuels, une relève autorisée et une procédure d'urgence qui fonctionne réellement.

La bonne question n'est donc pas : « Qui connaît le mot de passe du président? » C'est plutôt : « Si cette personne devient indisponible, pouvons-nous continuer sans contourner notre propre sécurité? »

Un projet TI ou une question?

MMO Techno peut vous aider à inventorier vos accès critiques, structurer une relève numérique et tester vos procédures d'urgence — tout en maintenant des contrôles rigoureux sur les privilèges administratifs.

Parlez à un expert MMO Techno .